피싱 공격에 대한 전체 설명: 가짜 에어드롭부터 지갑 인증까지 암호화폐 사용자는 이를 어떻게 방지할 수 있나요?

피싱 공격이란 정확히 무엇인가요?

낚시라는 단어는 낚시에서 유래되었습니다. 그물을 던지고 물고기가 물기를 기다리는 것입니다. 공격자는 기술적인 취약점을 이용해 시스템에 침입하는 것이 아니라, 신뢰할 수 있는 사람인 것처럼 가장하고 로그인 비밀번호, 은행 카드 번호, 개인 키, 니모닉 문구 등을 직접 넘겨달라고 요청합니다.

이는 수십 년 동안 사이버 보안 분야에 존재해 왔지만 도구는 변화하고 있습니다. AI 글쓰기 도구는 자연스러운 어조와 정확한 주소로 이메일을 일괄 생성할 수 있으며, AI 음성 복제는 전화상으로 상사나 가족을 흉내낼 수 있습니다. 과거에는 의심스러운 이메일을 판단하기 위해 "문법적 오류 및 어색한 표현"에 의존했지만 이제는 이러한 경험이 점점 덜 효과적이 되고 있습니다.

암호화폐 사용자가 직면하는 위험은 훨씬 더 독특합니다. 체인상의 거래는 되돌릴 수 없으며, 일단 전송되면 반환할 수 없습니다. 따라서 암호화 서클에서 피싱의 대상은 니모닉 문구, 개인 키 및 지갑 인증에 매우 집중되어 있습니다.

피싱 이메일은 일반적으로 어떤 모습인가요?

가장 일반적인 배달 채널은 여전히 ​​메일입니다. 피싱 이메일은 은행, 거래소 또는 유명 브랜드에서 보낸 것처럼 가장할 수 있으며, 가짜 웹사이트에 대한 링크나 멀웨어 설치를 위해 열리는 첨부 파일을 포함할 수 있습니다.

잠시 멈춰서 살펴볼 가치가 있는 몇 가지 징후:

**URL 및 배송주소가 잘못되었습니다. ** 클릭하기 전에 전체 URL을 읽어보세요. 피싱 사이트에서는 이름에 문자를 추가하거나 특이한 도메인 이름 접미사를 사용하는 등 미묘한 철자 차이를 사용하는 경우가 많습니다. 링크 위로 마우스를 가져가면 실제 목적지 주소를 미리 볼 수 있습니다. 또한, 대기업을 대표한다고 주장하지만 발신자가 지메일이나 야후 등 공개 이메일 주소인 이메일은 그 자체로 의심스럽다.

**긴박감과 두려움을 조성하십시오. ** "계정이 해킹당했습니다.", "결제 실패", "즉시 처리하지 않으면 처벌을 받습니다." 이런 말은 의도적으로 생각하기엔 너무 늦도록 의도된 것입니다. 합법적인 조직에서는 이메일 링크를 통해 즉각적인 조치를 취하도록 요청하는 경우가 거의 없습니다.

**민감한 정보를 요청합니다. ** 일반 서비스에서는 이메일, 문자 메시지 또는 채팅을 통해 비밀번호, 니모닉 문구, 개인 키 또는 전체 은행 카드 번호를 묻지 않습니다. 그러한 요청이 나타날 때마다 상대방이 아무리 공식적으로 보이더라도 의심스러운 것으로 간주됩니다.

암호화 시나리오에서 피싱의 차이점은 무엇인가요?

일반 피싱은 계정을 사취하는 반면, 암호화된 피싱은 자산을 사취하는데, 성공하면 복구가 불가능한 경우가 많습니다.

Wallet Drainer는 상대적으로 파괴적인 카테고리입니다. 속아서 지갑을 악성 웹사이트에 연결하거나 승인된 거래에 서명하게 하면 악성 스마트 계약이 토큰을 전송하고 때로는 몇 초 안에 잔액을 탕진하기도 합니다. 여기서 핵심은 지갑과 서명 인증을 연결하는 것 자체가 공격 표면이라는 것입니다.

고객 서비스를 사칭하는 행위도 매우 일반적입니다. 누군가가 거래소 고객센터라고 주장하며 "본인 확인"을 위해 니모닉 문구를 제출하라고 요구합니다. 어떤 공식 플랫폼도 니모닉 문구를 요구하지 않습니다. 누군가 요청하는 한 그 요청은 예외 없이 100% 사기입니다.

가짜 에어드롭, 가짜 선물은 소셜 플랫폼을 통해 유포됩니다. 공격자는 존재하지 않는 에어드랍이나 투자 기회를 홍보하기 위해 X, Discord 및 Telegram에서 유명한 인물인 척합니다. 일반적인 방법은 인증된 계정을 도용하거나 거의 동일한 아바타와 이름으로 가짜 계정을 만드는 것입니다. 이 방법은 가짜 토큰을 사용하여 공지를 발행하여 지갑 승인에 서명하도록 유도하는 에어드랍 사기와 종종 겹칩니다.

DeFi 프로토콜을 자주 사용하거나 P2P 거래를 수행하는 사용자는 지갑 상호 작용이 더 많고 자연스럽게 노출도 더 큽니다.

피싱에는 이메일 외에도 다양한 방법이 있습니다.

스피어 피싱 특정 개인이나 조직을 대상으로 합니다. 공격자는 동료 이름, 최근 거래, 직위 등의 세부 정보를 사용하여 메시지를 신뢰할 수 있게 만드는 등 사전에 숙제를 합니다. 비용은 더 높지만 성공률은 일반적으로 더 높습니다.

웨일링은 경영진, 정부 관료 또는 돈이 많은 사람들을 표적으로 삼는 스피어 피싱의 고가치 버전입니다. 이 사람들은 민감한 시스템이나 막대한 돈에 접근할 수 있으며, 성공할 경우 그 결과는 더욱 심각해질 것입니다.

클론 피싱은 실제 이메일을 복사하여 거의 동일한 버전으로 만들고 링크나 첨부 파일만 악성 이메일로 바꾸는 것입니다. 형식이 익숙하기 때문에 수신자는 차이점을 간과하는 경향이 있습니다.

스미싱, 비싱은 각각 문자메시지와 전화로 전달됩니다. 보이스 피싱에서 공격자는 은행 담당자나 기술 지원 담당자로 가장하거나 심지어 AI 복제 음성을 사용하여 가족 구성원을 사칭합니다. 음성 합성 기술의 한계가 낮아지면서 이 두 가지 방법이 점점 더 보편화되고 있습니다.

QR 코드 피싱 악성 QR 코드를 사용하여 사람들을 피싱 웹사이트로 유도합니다. 이러한 코드는 포스터, 주차 미터기, 레스토랑 메뉴 등 물리적 환경에 게시되거나 이메일 및 문서에 포함될 수 있습니다. QR 코드는 사람의 눈에는 불투명하며, 많은 사람들은 스캔하기 전에 어디로 점프할지 모릅니다.

Domain Pharming에서는 악성 링크를 클릭할 필요가 없습니다. 공격자는 DNS 레코드를 오염시키고 사용자를 올바른 URL에서 가짜 사이트로 리디렉션합니다. URL을 직접 입력하기 때문에 이러한 유형의 공격은 일반 피싱보다 감지하기 어렵고 위험합니다.

**도메인 이름 불법 복제(Typosquatting)**는 철자 오류, 문자 대체 또는 다른 최상위 도메인 이름으로 인해 일반 웹사이트와 매우 유사한 도메인 이름을 등록하는 것입니다. 손가락으로 잘못된 문자를 입력하면 똑같은 모양의 가짜 웹사이트에 접속하게 될 수도 있습니다.

워터링 홀 먼저 타겟 그룹이 자주 방문하는 웹사이트를 찾아 악성 스크립트를 삽입합니다. 다음에 대상이 감염된 사이트를 방문하면 스크립트가 실행되어 자동으로 악성 코드를 설치하거나 자격 증명을 훔칠 수 있습니다.

피싱과 도메인 이름 접목의 차이점

어떤 사람들은 도메인 이름 접목을 피싱의 일종으로 분류하지만 두 가지 작동 방식은 다릅니다. 피싱은 피해자에게 실수를 하도록 요구합니다. 즉, 가짜 링크를 클릭하거나 가짜 사이트에 자격 증명을 입력하는 것입니다. 파밍은 DNS 레코드 자체가 변조되었기 때문에 피해자가 정상적으로 보이는 URL을 방문하기만 하면 됩니다.

이러한 구별에는 실질적인 의미가 있습니다. 파밍은 개인 수준에서 예방하기가 더 어렵고 수행할 수 있는 확인 단계도 적습니다.

매일 맞을 확률을 줄이는 방법

가장 믿을 수 있는 팁: 예상치 못한 메시지의 링크를 클릭하지 마세요. 로그인이 필요한 경우 브라우저 주소 표시줄에 공식 웹사이트 주소를 직접 입력하거나 자신이 저장한 북마크를 사용하세요.

계정 수준에서 모든 중요한 계정에 대해 2단계 인증(2FA)을 활성화하세요. 이런 식으로 비밀번호가 유출되더라도 여전히 두 번째 문은 존재합니다. 인증 앱을 사용할 수 있는 경우 SMS 확인 코드를 사용하지 마세요. SIM 카드 하이재킹을 통해 SMS 코드를 가로챌 수 있습니다.

기업은 DKIM(DomainKeys Identified Mail) 및 DMARC(Domain-based Message Authentication, Reporting, and Conformance)와 같은 이메일 인증 표준을 배포하여 이메일이 실제로 주장하는 도메인 이름에서 전송되었는지 확인할 수 있습니다.

개인적 차원에서 자신이 알고 있는 기술을 가족과 친구들에게 알리는 것 자체가 보호의 한 형태입니다. 기업의 정기적인 안전 교육은 직원이 미끼에 빠질 확률을 크게 줄일 수 있습니다.

100% 효과적인 조치는 없습니다. 지속적인 보안 인식과 결합된 기술 도구는 위험을 줄이는 조합입니다.

이미 감염된 경우 어떻게 해야 하나요?

가장 중요한 계정부터 시작하여 비밀번호를 먼저 변경하세요. 아직 2FA 계정을 개설하지 않았으니 지금 추가하겠습니다.

암호화폐 지갑을 의심스러운 웹사이트에 연결한 경우 이전에 부여한 승인을 취소하세요. 많은 사람들이 이 단계를 잊어버리겠지만, 승인이 취소되지 않으면 위험은 항상 존재합니다.

그런 다음 사칭한 플랫폼에 신고하고, 귀하가 위치한 국가 또는 지역의 사이버 보안 기관에도 신고하세요.

취급 수수료 및 리베이트와 관련하여 독자가 직접 확인해야 할 사항은 무엇인가요?

낚시 주제에는 또 다른 유형의 손실이 자주 포함됩니다. 정상적으로 거래하고 있다고 생각하지만 실제 비용 구조는 이해하는 것과 다릅니다. 이 부분은 질적 알림으로만 사용할 수 있습니다. 구체적인 수치는 플랫폼 공식 페이지를 참고해주세요.

확인해야 할 사항에는 현물 및 계약에 대한 메이커 및 테이커 요율이 무엇인지, VIP 레벨을 분류하는 데 사용되는 구경, 계정 유형에 BNB 공제가 적용되는지 여부, 리베이트 또는 추천 보상에 대한 정산 규칙 및 지불 방법이 포함됩니다. 이러한 용어는 조정될 것이며 타사 튜토리얼의 수치는 종종 지연됩니다.

더 중요한 것은 "내부 요율" 또는 "특별 리베이트 채널"을 제공한다고 주장하는 모든 비공개 메시지는 피싱으로 처리되어야 한다는 것입니다. 공식적인 비용 할인은 계정 백엔드에서 확인할 수 있으며, 낯선 사람을 통해 프로세스를 거칠 필요가 없습니다.

FAQ

**낚시란 무엇인가요? ** 범죄자가 신뢰할 수 있는 조직이나 개인을 사칭하여 사용자를 속여 비밀번호, 결제 정보 또는 암호화된 니모닉 문구를 넘겨주는 사이버 공격 기술입니다. 이는 온라인 사기의 가장 일반적인 형태 중 하나입니다.

**가장 일반적인 낚시 유형은 무엇입니까? ** 이메일 피싱, 스피어 피싱(표적 공격), SMS 피싱, 보이스 피싱, 클론 피싱. 지갑 스키밍 프로그램과 가짜 경품 사기는 암호화폐 업계에서 특히 흔합니다.

**피싱 이메일을 어떻게 식별하나요? ** 의심스럽거나 철자가 틀린 발송 주소, 개인 정보나 비밀번호에 대한 긴급 요청, 예상치 못한 링크나 첨부 파일, 두려움이나 긴박감을 조성하는 콘텐츠. 링크 위에 마우스를 올리시면 URL을 미리 보실 수 있으며 클릭 전, 공식 채널을 통해 예상치 못한 요청을 확인하실 수 있습니다.

**낚시당했다고 의심되면 어떻게 해야 하나요? ** 가장 중요한 계정부터 시작하여 즉시 비밀번호를 변경하세요. 아직 2FA가 없는 계정에 대해 2FA를 활성화하세요. 의심스러운 웹사이트에 접속한 경우 부여된 승인을 취소하세요. 사칭한 플랫폼과 해당 플랫폼이 위치한 국가 또는 지역의 사이버 보안 기관에 신고하세요.

**피싱으로 암호화폐를 훔칠 수 있나요? ** 할 수 있는. 암호화 피싱은 니모닉 문구, 개인 키 또는 지갑 인증을 얻을 수 있습니다. 온체인 거래는 되돌릴 수 없으므로 자금 손실은 영구적입니다. 일반적인 기술에는 가짜 거래소 로그인 페이지, 도난당한 지갑 스마트 계약, 고객 서비스인 척하여 니모닉 확인을 요청하는 등이 있습니다.

참고: 바이낸스 아카데미 "피싱이란 무엇입니까? 유형, 예 및 안전을 유지하는 방법" https://academy.binance.com/en/articles/what-is-phishing

이 기사는 일반적인 정보를 편집한 것이며 투자 조언을 구성하지 않으며 바이낸스의 공식 입장을 대변하지도 않습니다. 디지털 자산 가격은 크게 변동하므로 스스로 판단하고 그에 따른 위험을 감수하시기 바랍니다.